Der CERT‑Bund hat in einer aktuellen Sicherheitsberatung mehrere schwerwiegende Schwachstellen in Digium Certified Asterisk sowie in der Open‑Source‑Version Asterisk veröffentlicht. Ein authentisierter, entfernter Angreifer könne diese Lücken ausnutzen, um Speicherfehler zu provozieren, Denial‑of‑Service‑Zustände zu erzeugen, vertrauliche Informationen offenzulegen, laufende Sitzungen zu übernehmen, Sicherheitsmechanismen zu umgehen, beliebige SQL‑ oder LDAP‑Abfragen auszuführen und unter bestimmten Voraussetzungen eigenen Programmcode auszuführen.
Technische Details der Schwachstellen
Die betroffenen Komponenten weisen vor allem Speicherverwaltungsfehler und fehlerhafte Eingabevalidierungen auf, die es einem Angreifer ermöglichen, kontrollierte Daten in kritische Speicherbereiche zu injizieren. Durch die Ausnutzung dieser Fehler kann der Angreifer die Integrität des Systems gefährden und die Ausführung von nicht autorisiertem Code erzwingen.
Potenzielle Auswirkungen fĂĽr Betreiber
Telekommunikationsanbieter, Call‑Center und Unternehmen, die Asterisk als Telefonie‑Backend einsetzen, könnten bei erfolgreicher Ausnutzung massive Serviceunterbrechungen und Datenlecks erleiden. Die Möglichkeit, Sitzungen zu übernehmen, eröffnet zudem Angreifern Zugriff auf vertrauliche Gesprächsinhalte und Benutzerdaten.
Empfohlene GegenmaĂźnahmen
Der CERT‑Bund rät allen Administratoren, die veröffentlichten Patches umgehend zu installieren und betroffene Systeme auf die aktuelle Version zu aktualisieren. Zusätzlich sollten Netzwerk‑Firewalls so konfiguriert werden, dass nur autorisierte Hosts Zugriff auf die Asterisk‑Instanzen erhalten, und sämtliche Log‑Dateien auf verdächtige Aktivitäten überwacht werden.
Hinweis zur Meldung
Die Sicherheitsberatung trägt die Kennzeichnung WID‑SEC‑2026‑2094 und steht unter der Lizenz „Amtliches Werk gem. § 5 UrhG (Deutschland)“. Weitere Informationen und detaillierte Anweisungen finden Interessierte auf der offiziellen CERT‑Bund‑Website.
Dieser Bericht basiert auf Informationen von CERT‑Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung